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29.09.03 Sy/Ho 

ROBERT BOSCH GMBH, 70442 Stuttgart 



Verfahren und Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi 
einer Prozessoreinheit 

Stand der Technik 

Die Erfindung geht aus von einem Verfahren und einer Vorrichtung zur Umschaltung 
zwischen wenigstens zwei Betriebsmodi einer Prozessoreinheit sowie entsprechender 
Prozessoreinheit mit wenigstens zwei Ausfiihrungseinheiten zur Abarbeitung von 
Programmen gemafl den Oberbegriffen der unabhSngigen Anspriiche. 

Solche Prozessoreinheiten mit wenigstens zwei integrierten Ausfuhrungseinheiten sind 
auch als Dual-Core- oder Multi-Core-Architekturen bekannt. Solche Dual-Core- oder 
Multi-Core-Architekturen werden nach heutigem Stand der Technik hauptsachlich aus 
zwei Griinden vorgeschlagen: 

Zum Einen kann damit eine Leistungssteigerung, also eine Performance-Steigerung 
erreicht werden, indem die beiden Ausfuhrungseinheiten oder Cores als zwei 
Recheneinheiten auf einem Halbleiterbaustein betrachtet und behandelt werden. In dieser 
Konfiguration bearbeiten die zwei Ausfuhrungseinheiten oder Cores unterschiedliche 
Programme respektive Tasks. Dadurch lasst sich eine Leistungssteigerung erzielen, 
weshalb diese Konfiguration als Leistungsmodus oder Performance-Mode bezeichnet 
wird. 

Neben dem Einsatz als superskalare Prozessoren ist der zweite Grund eine Dual-Core- 
oder Multi-Core-Architektur zu realisieren, die Steigerung der Sicherheit, indem beide 
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Ausfiihrungseinheiten redundant das gleiche Programm abarbeiten. Die Ergebnisse der 
beiden Ausfiihrungseinheiten werden verglichen, und ein Fehler kann dann bei dem 
Vergleich auf Obereinstimmung erkannt werden. Im Folgenderi wird diese {Configuration 
als Sicherheitsmodus oder safety-mode bezeichnet. 

Im Allgemeinen sind die beiden genannten Konfigurationen exklusiv auf der Dual- oder 
Multi-Core-Architektur enthalten, d. h. der Rechner mit den wenigstens zwei 
Ausfuhrungseinheiten wird prinzipiell nur in einem Modus betrieben: Entweder dem 
Performance-Modus oder dem Safety-Modus. 

Aufgabe der Erfindung ist es nun, einen kombinierten Betrieb einer solchen Dual- oder 
Multi-Core-Prozessoreinheit beziiglich wenigstens zwei Betriebsarten zu erm6glichen 
und dabei eine optimale Umschaltstrategie zwischen wenigstens zwei Betriebsmodi, also 
insbesondere zwischen Sicherheitsmodus und Leistungsmodus zu erzielen. 

Vorteile der Erfindung 

Es ist zum Einen aus Sicherhehsgrunden eine redundante Ausfuhrung der Programme 
respektive Tasks, also auch von Aufgabenprogrammen, Programmteilen, also 
Codeblocken oder auch einzelnen Befehlen erwttnscht, aber andererseits aus 
KostengriSnden das Bereithalten von vollstahdig redundanter Hardware bei der 
Ausfuhrung der nicht sicherheitskritischen Funktionen nicht erstrebenswert. Dieser 
Zielkonflikt wird erfindungsgemaB durch eine optimierte Umschaltung zwischen 
wenigstens zwei Betriebsmodi bei einer Prozessoreinheit gelSst. So geht die Erfindung 
von einem Verfahren und einer Vorrichtung zur Umschaltung zwischen wenigstens zwei 
Betriebsmodi einer Prozessoreinheit mit wenigstens zwei Ausfuhrungseinheiten sowie 
entsprechender Prozessoreinheit aus. Die Prozessoreinheiten konnen dabei zum Einen 
vollstandige Cores, also vollstandige CPUs sein oder aber auch in einem bevorzugten 
Ausfiihrungsbeispiel wird nur das Rechenwerk dupliziert. Der Vorteil ist, wenn nur das 
Rechenwerk (ALU) dupliziert wird und die anderen Komponenten der CPU durch andere 
Fehlerentdeckungsmechanismen abgesichert werden, benotigt die vorgestellte Schaltung 
zusatzlich weniger Chipflache als eine vollstandige Dual-Core-Architektur. Trotzdem 
kann aber mit dem erfindungsgemaBen Verfahren, also gleichermaBen fiir Doppel-CPU 
oder Doppel-ALU eine ausreichende Fehlerabdeckung im Sicherheitsmodus, und bei 
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nicht sicherheitsrelevanten Berechnungen eine deutliche Leistungssteigerung im 
Leistungsmodus erzielt werden. Die Erfindung geht also von einem Verfahren und einer 
Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi einer 
Prozessoreinheit mit wenigstens zwei Ausfuhrungseinheiten zur Abarbeitung von 
Programmen aus, wobei vorteilhafter Weise den Programmen wenigstens eine Kennung 
zugeordnet ist, welche eine Unterscheidung in die wenigstens zwei Betriebsmodi, also 
insbesondere Sicherheitsmodus und Leistungsmodus erlaubt und eine Umschaltung 
zwischen dem Betriebsmodi in Abhangigkeit von der Kennung erfolgt, so dass die 
Prozessoreinheit die Programme entsprechend des zugeordneten Betriebsmodus 
abarbeitet. 

Dabei umfasst der Begriff Programme auch Programmteile, also Codebl5cke, die sich 
liber mehrere Programme vollstandig oder ansteilig erstrecken iiber Aufgabenprogramme, 
die in den einzelnen Programmen enthalten sind oder von den Programmen gebildet 
werden bis hin zu einzelnen Programmbefehlen, denen jeweils eine Kennung zugeordnet 
wird. 

Dabei kann eine solche Kennungszuordnung zur Umschaltung zwischen den einzelnen 
Betriebsmodi auf Funktionsebene, also insbesondere zur Steuerung von Betriebsablaufen 
bei einem Fahrzeug, Einsatz finden. Andererseits konnen auch vorteilhafter Weise 
Programme oder entsprechende Aufgabenprogramme, Programmteile oder 
Programmbefehle, die zu einem Betriebssystem der Prozessoreinheit gehoren oder dieses 
Betriebssystem darstellen, durch solche Kennungen dem entsprechenden Betriebsmodus 
zugeordnet werden. 

ZweckmaBiger Weise werden bei der Abarbeitung der Programme die dabei entstehenden 
Zustande oder Ergebnisse auf Obereinstimmung verglichen, wobei bei Abweichung auf 
Fehler erkannt wird. 

Dabei ist es besonders zweckmaBig, dass die Programme synchron abgearbeitet werden. 

Vorteilhafter Weise ist die Kennung als wenigstens ein Bit ausgebildet, wobei eine solche 
Kennung zweckmaBiger Weise durch einen Programmbefehl, insbesondere durch einen 
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im Befehlssatz der Prozessoreinheit vorgesehenen Befehl, wie beispielsweise einem 
Schreibbefehl erzeugt wird. 

Diese Kennung kann zum Einen dem entsprechenden Programm, Programmteil, 
Ausfuhrungsprogramm oder Programmbefehl zugeordnet sein oder aber in einen 
speziellen, vorgesehenen Speicherbereich eingeschrieben sein oder werden. 

Somit kann abhangig von der Kennung eine optimierte Unischaltung zwischen zwei 
Betriebsmodi, insbesondere dem Leistungsmodus und dem Sicherheits-Modus bei einer 
Dual-Core-Architektur oder eine Architektur mit lediglich dupliziertem Rechenwert, also 
einer Doppel-ALU erfolgen. 

Weitere Vorteile und vorteilhafte Ausgestaltungen ergeben sich aus der Beschreibung 
sowie den Merkmalen der Anspriiche. 

Zeichnung 

Die Erfmdung wird im weiteren anhand der in der Zeichnung dargestellten Figuren naher 
erlautert. 

Dabei zeigt Figur 1 und Figur 2 jeweils eine Prozessoreinheit mit dupliziertem 
Rechenwert, bei welcher die erfindungsgemafie Umschaltung durchfuhrbar ist. 

Figur 3 zeigt die Umschaltung aus dem Sicherheitsmodus in den Leistungsmodus und 
Figur 4 zeigt die Umschaltung vom Leistungsmodus in den Sicherheitsmodus. 

Figur 5 zeigt anhand einer Anzahl von Codezeilen 500 die Zuordnung der Kennzeichen 
zu den Programmen, Programmteilen, Aufgabenprogrammen oder Befehlen. 

Beschreibung der Ausfuhrungsbeispiele 

In den Figuren 1 und 2 der Zeichnung sind gleiche bzw. funktionsgleiche Elemente 

sofern nichts anderes angegeben ist - mit gleichen Bezugszeichen versehen worden. 
Die erfindungsgemaBe programmgesteuerte Einheit sowie deren Komponenten wie 
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Mikrocontrollerkern (CPU), Speichereinheiten, Peripherieeinheiten usw. sind der 
besseren Uoersichtlichkeit halber in den Figuren 1 und 2 nicht direkt dargestellt worden. 
Allerdings konnen die beiden Rechenwerke ALU A und Alu B ebenso kompletten Cores, 
also CPUs im Rahmen der Erfindung entsprechen, so dass die Erfindung auch fur 
komplette Dual-Core-Architekturen Einsatz finden kann. Bevorzugt ist allerdings, dass 
nur das Rechenwerk dupliziert wird und die anderen Komponenten der CPU durch andere 
Fehlerentdeckungsmechanismen abgesichert werden. 

In den Figuren 1 und 2 sind mit den Bezugszeichen 1 und 2 jeweils arithmetisch logische 
Einheiten (ALU) als Ausfiihrungseinheiten bezeichnet. Eine jeweilige ALU-Einheit 1, 2 
weist zwei Eingange und einen Ausgang auf. In einem Testbetrieb konnen die zur 
Ausfiihrung vorgesehenen Operanden direkt vom Bus 3 in die Eingange der ALU- 
Einheiten 1, 2 eingekoppelt werden oder vorher in einem eigens daflir vorgesehenen 
Operandenregister 8, 9 abgelegt sein. Diese Operandenregistern 8, 9 sind direkt mit dem 
Datenbus 3 gekoppelt. Die beiden ALU-Einheiten 1, 2 werden also aus den gleichen 
Operandenregistern 8, 9 versorgt. Zusatzlich kann vorgesehen sein, dass die jeweiligen 
Operanden iiber den Bus bereits mit einer ECC-Codierung versehen sind, welche in den 
Registerbereichen 8a, 9a abgelegt werden. D. h. an alien Stellen in den Figuren 1 und 2, 
in denen ECC angegeben ist, konnen die Daten durch Einsatz eines ECC-Codes (Error 
Correction Code) abgesichert sein. Solche Methoden zur Fehlererkennung sind vielfaltig, 
wobei die Grundvoraussetzung die Absicherung mit einem Fehlererkennungs- bzw. 
Fehlerkorrekturcode, also einer Signatur darstellt. Im einfachsten Fall kann diese Signatur 
nur aus einem Signaturbit, beispielsweise einem Parity-Bit bestehen. Andererseits kann 
die Absicherung auch durch komplexere ED-Codes (Error Detection) wie einen Berger- 
Code oder einen Bose-Lin-Code usw. oder auch durch einen komplexeren ECC-Code wie 
beispielsweise einen Hamming-Code usw. realisiert werden, um durch entsprechende 
Bitzahl eine sichere Fehlererkennung zu ermoglichen. Es kann aber auch als 
Codegenerator, beispielsweise eine Generatortabelle (fest verdrahtet oder in Software) 
verwendet werden, um bestimmten Eingangsmustern der Bits im Rahmen der Adresse ein 
gewiinschtes Codemuster beliebiger Lange zuzuordnen. Damit kann, insbesondere durch 
die Korrekturfunktion, die Datensicherheit gewahrleistet werden. Dennoch erfolgt im 
sicherheitskritischen Modus, also im Sicherheitsmodus SM eine redundante Abarbeitung 
der sicherheitskritischen Programme in beiden Ausfiihrungseinheiten, also hier beiden 
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ALUs 1 und 2, wodurch Fehler in diesen durch Vergleich auf Ubereinstimmung 
erfindungsgemSB aufgedeckt werden. 

Die nicht sicherheitsrelevanten bzw. nichtsicherheitskritischen Programme oder Tasks 
respektive Programmteile oder Codebl6cke oder Befehle konnen zur Leistungserhehung 
auf beiden Ausfuhrungseinheiten verteilt berechnet werden, wodurch sich der Durchsatz 
und damit die Leistung erhSht Dies erfolgt im sogenannten Leistungsmodus oder 
Performancemode LM. 

Bei Einkopplung der jeweiligen Operanden in die ALU-Einheiten 1, 2 muss besonderer 
Wert auf die korrekte Dateneingabe gelegt werden. Werden z. B. die gleichen 
fehlerhaften Operanden in die beiden ALU-Einheiten 1, 2 eingekoppelt, ist ein Fehler am 
Ausgang der ALU-Einheiten 1, 2 nicht erkennbar. Es muss daher sichergestellt sein, dass 
zumindest eine der ALU-Einheiten 1 oder 2 einen korrekten Dateneingabewert erhalt 
bzw. auch beide ALU-Einheiten 1, 2 unterschiedliche, jedoch falsche Dateneingabewerte 
erhalten. Dies wird dadurch sichergestellt, dass von zumindest einem Eingangswert einer 
ALU-Einheit 1, 2 eine PrUfsumme, also ein ECC-Code, wie oben erwahnt, gebildet wird. 
In einer eigens vorgesehenen Vergleichseiriheit 5, 6 wird die ECC-Codierung 10a, 1 la 
aus diesen zusatzlichen Datenregistern 10, 1 1 mit der ECC-Codierung 8a, 9a aus dem 
ursprtinglichen Quellregister 8, 9 verglichen. Optional kSnnen auch die Eingangsdaten 
aus den Registern 10, 1 1 mit denen aus den Quellregistern 8, 9 verglichen werden. Ergibt 
sich ein Unterschied in der ECC-Codierung bzw. bei den Operanden, dann wird dies als 
Fehler interpretiert und es wird ein Fehlersignal ausgegeben, unter Umstanden angezeigt 
und unter Umstanden korrigiert. Dieser Vergleich erfolgt vorteilhafter Weise wahrend der 
Bearbeitung der Operanden in den ALU-Einheiten 1, 2, so dass diese eingangsseitige 
Fehlererkennung und Fehlerkorrektur nahezu ohne Leistungsverlust einhergeht. Erkennt 
eine der Vergleichseinheiten 5, 6 einen Fehler, so kann die Berechnung innerhalb des 
nachsten Zyklus wiederholt werden. Dabei kann ein Schattenregister Einsatz finden, um 
immer die Operanden der letzten Berechnung zu sichern, damit sie in einem Fehlerfall 
schnell wieder verfUgbar sind. Auf die Bereitstellung eines solchen Schattenregisters 
kann allerdings verzichtet werden, wenn die jeweiligen Operandenregister 10, 1 1 erst 
wieder durch ein Freigabesignal aufgrund des Nichtvorhandenseins eines Fehlers erneut 
beschrieben werden. Im Falle eines Fehlers liefern die Vergleichseinheiten 5, 6 ein 
Fehlersignal, wodurch die Operandenregister 10, 1 1 nicht erneut beschrieben werden. 
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Die ALU-Einheiten 1, 2 erzeugen ausgangsseitig jeweils ein Ergebnis. Die von den ALU- 
Einheiten 1, 2 bereitgestellten Ergebnisdaten bzw. deren ECC-Codierung werden in den 
Ergebnisregistern 12, 13, 12a, 13a abgelegt. Diese Ergebnisdaten und/oder deren 
Codierung werden in der Vergleichseinheit 14 miteinander verglichen. Im Falle des 
Nichtvorhandenseins eines Fehlers wird ein Freigabesignal 16 erzeugt. Dieses 
Freigabesignal 16 wird in die Freigabeeinrichtung 15 eingekoppelt, welche dazu 
veranlasst wird, die Ergebnisdaten auf einen Bus 4 zu schreiben. Uber den Bus 4 konnen 
diese Ergebnisdaten dann wieder verarbeitet werden. 

Das Freigabesignal 16 kann ferner dazu genutzt werden, die Register 8 bis 1 1 wieder 
freizuschalten, so dass die nachsten Operanden vom Bus 3 ausgelesen werden kSnnen 
und in den ALU-Einheiten 1, 2 verarbeitet werden kSnnen. 

Mit der Anordnung in Figur 1 wird das Ergebnis nicht iiberpriift. Hier werden lediglich 
die Ergebnisdaten in der Vergleichseinheit 14 miteinander verglichen. Eine Uberpriifung 
der ECC-Codierung der Ergebnisdaten wird erst durch die Anordnung in Figur 2 
moglich, bei der sowohl die Ergebnisdaten als auch deren ECC-Codierung miteinander in 
der Vergleichseinheit 14 verglichen werden. 

Mit den in den Figuren 1 und 2 angegebenen Fehlererkennungsanordnungen werden alle 
transienten Fehler, permanenten Fehler und auch Laufeeitfehler erkannt. Laufzeitfehler 
innerhalb einer ALU-Einheit 1, 2 werden erkannt, wenn das Ergebnis nicht oder zu spfit 
zu der Vergleichseinheit 12 gelangt und somit ein Vergleich mit einem Teilergebnis 
erfolgt. Durch die Absicherung der Operandenregister 8, 9, 10, 1 1 mit Fehlererkennungs- 
und Fehlerkorrekturcode und dem Vergleich der Endergebnisse ist der jeweilige Fehlerort 
und Fehlerzeitpunkt genau zu lokalisieren. Somit kann auf eine transiente StSrung sehr 
schnell reagiert werden. 

Es ergeben sich somit die folgenden Moglichkeiten zur Fehlerlokalisierung: 



Ergibt ein Vergleich der Ergebnisdaten in der Vergleichseinheit 14 einen Unterschied, 
dann kann auf einen Fehler innerhalb der ALU-Einheiten 1, 2 geschlossen werden. 
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Ergibt ein Vergleich der ECC-Codierung in einer der Vergleichseinheiten 5, 6 einen 
Unterschied, dann kann auf ein fehlerhaftes Signal von dem Bus 3 bzw. vorgeschalteten 
Komponenten geschlossen werden. 

Ergibt ein Vergleich der ECC-Codierung in der Vergleichseinheit 14 einen Unterschied, 
dann kann auf eine fehlerhafte Codierung des Ergebnisses geschlossen werden. 

Zur Umschaltung zwischen dem genannten Sicherheitsmodus, in dem eine redundante 
Abarbeitung und PrUfung erfolgt und dem Leistungsmodus, bei dem eine 
Leistungssteigerung durch separate Programmabarbeitung erreicht wird, dient eine 
Umschalteinrichtung UE 17. Durch diese Umschalteinrichtung 17 werden die Elemente 
8, 9 und 1, 2 so geschaltet, dass im einen Fall, also im Sicherheitsmodus SM eine 
redundante Programmabarbeitung, insbesondere eine synchrone PTogrammabarbeitung 
erfolgt und im zweiten Betriebsmodus, dem Leistungsmodus LM eine parallele 
Abarbeitung unterschiedlicher Programme vollzogen werden kann. Dazu konnen Schalter 
Oder Schaltmittel vorgesehen sein, die zum Einen in den Elementen 8, 9 respektive 1, 2 
oder auch in der Umschalteinrichtung 17 lokalisiert sein konnen oder zusatzlich separat 
von den Elementen 8, 9, 1, 2 bzw. 17 in der Schaltung enthalten sind. 

Zur Umschaltung erfolgt eine Kennzeichnung der Programme oder Aufgabenprogramme 
oder Programmteile, also Codeblocke oder auch der Befehle durch eine Kennung, durch 
welche erkennbar ist, ob diese sicherheitsrelevant sind, also im Sicherheitsmodus SM 
abgearbeitet werden mttssen oder dem Leistungsmodus LM zuganglich gemacht werden 
konnen. Dies kann durch ein Bit im Befehl erfolgen, oder es kann durch einen spezieilen 
Befehl die darauffolgende Sequenz gekennzeichnet werden. Dies wird naher anhand der 
unterschiedlichen Kennzeichnungsmoglichkeiten bei Figur 5 noch einmal beschrieben. 

Dabei konnen die Programme zum Einen Anwendungsfunktionen umfassen, also 
insbesondere z. B. zur Steuerung von Betriebsablaufen bei einem Fahrzeug vorhanden 
sein, oder aber die Umschaltung erfolgt bezQglich Programmen, bei denen die 
Kennzeichnung auf Betriebssystemebene erfolgt, also z. B. eine Zuordnung ganzer 
Betriebssystemtasks. 
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Bei einer Decodierung kann nun die Umschalteinrichtung 17 erkennen, ob die nun 
folgende Berechnung sicherheitsrelevant ist, also im Sicherheitsmodus ausgeftthrt werden 
soil oder nicht. Ist dies der FaU, so werden die Daten an beide Ausfuhrungseinheiten 1 
und 2 Gbergeben. Ist dies nicht der Fall, wird also im Leistungsmodus weitergearbeitet, so 
bekommt eine AusfUhrungseinheit die Daten bereitgestellt und gleichzeitig kann die 
nSchste Anweisung, wenn diese ebenfalls nicht sicherheitsrelevant ist, an die zweite 
AusfUhrungseinheit gegeben werden, so dass die Programme parallel mit hoherem 
Durchsatz abgearbeitet werden. 

Im ersten Fall beispielsweise dauert die Berechnung des Ergebnisses bei synchroner 
Abarbeitung auf beiden Einheiten gleich lang. Die Ergebnisse stehen also im 
Sicherheitsmodus bei synchroner Abarbeitung gleichzeitig bereit. Diese Daten werden 
nun am Ausgang entsprechend 12 und 13 wieder mit einer Codierung versehen, und es 
werden die Daten und/oder die Codierung dieser Daten, wie in den Figuren 1 und 2 
beschrieben, bei Result a und Result b verglichen. Stimmen sie tlberein, so werden die 
Daten freigegeben; ansonsten erfolgt eine der angesprochenen Fehlerreaktionen. hn 
zweiten Fall, also im Leistungsmodus LM, wenn die Daten parallel abgearbeitet werden, 
wird der Komparator oder Vergleicher 14 am Ausgang der beiden Rechenwerke nicht 
angesteuert und die Ergebnisse Result a und Result b werden nacheinander wieder in die 
Registerbank zuruckgeschrieben und konnen auch nacheinander ausgegeben werden, wie 
es auch in einem superskalaren Prozessor der Fall ist. 

Dieser erfindungsgemaBe Umschaltvorgang wird noch einmal in den Figuren 3 und 4 
erlautert. Dabei zeigt Figur 3 die Umschaltung aus dem Sicherheitsmodus in den 
Leistungsmodus und Figur 4 die Umschaltung vom Leistungsmodus in den 
Sicherheitsmodus. 

Um von dem ersten Betriebsmodus, also bier dem Sicherheitsmodus oder Safetymode 
SM in den zweiten Betriebsmodus, also hier den Leistungsmodus oder Performancemode 
LM zu gelangen, ist eine Kennung und eine entsprechende Umschaltung erforderlich. In 
Figur 3 ist dies noch einmal verdeutlicht. In Block 300 ist die AusfUhrungseinheit 1 im 
zweiten Betriebsmodus, dem Leistungsmodus. Ebenso ist im Block 310 die zweite 
AusfUhrungseinheit 2 auch im Leistungsmodus. GleichermaBen werden durch die 
Umschalteinrichtung 17, die beispielsweise als Decoderbaustein ausgebildet ist, 
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respektive einen solchen enthfilt, die Elemente 8 und 9 gesteuert bzw. geschaltet. Im 
Block 320 bzw. Block 321 wird nun entsprechend des Programmablaufs der jeweiligen 
Ausfuhrungseinheit 1 oder 2 wenigstens eine Kennung festgestellt, durch welche eine 
Umschaltung in Block 330 von beiden Ausfuhrungseinheiten in den ersten 
Betriebsmodus, den Sicherheitsmodus SM, erfolgt. Dadurch laufen beide Zweige uber die 
Blocke 8 und 9 und die Ausfuhrungseinheiten 1 und 2 wieder redundant und 
insbesondere synchron bezuglich der durch die Kennung gekennzeichneten 
sicherheitsrelevanten Programme, so dass wieder der Sicherheitsmodus SM vorliegt, 
Dabei geniigt es, dass in einem Programmlauf im Leistungsmodus, also in einem Zweig 
eine solche Kennung zur Umschaltung vorhanden ist, um beide Ausfuhrungseinheiten in 
den Sicherheitsmodus zu fuhren. Dabei muss unter Umstanden noch die Abarbeitung des 
bereits angefangenen Programmcodes der anderen Ausfuhrungseinheit abgearbeitet 
werden, um beide dann im Sicherheitsmodus weiterarbeiten zu lassen. Andererseits kann 
es auch vorgesehen sein, sofort in den Sicherheitsmodus zu wechseln und bei einem 
nachfolgenden Leistungsmodus das angefangene Programm beginnend von der 
Unterbrechungsstelle weiter abzuarbeiten. 

Um von dem ersten Betriebsmodus, also hier dem Sicherheitsmodus in den zweiten 
Betriebsmodus, den Leistungsmodus zu gelangen, wird nun entsprechend Figur 4 
ebenfalls eine Kennung verwandt. Im Block 200 sind beide Ausfuhrungseinheiten 1 und 
2 und entsprechend die Zweige mit den Blacken 8 und 9, also der Operandenzuschaltung 
im Sicherheitsmodus, dem ersten Betriebsmodus. In Abfrageblock 210 wird nun gepriift, 
ob eine Umschaltkennung vorliegt, respektive ob eine vorliegende Kennung die 
Umschaltung in den Leistungsmodus mSglich macht. Ist dies nicht der Fall, liegt also 
keine Kennung vor oder zeigt die Kennung weiterhin den Sicherheitsmodus an, gelangt 
man wieder zu Block 200 und die Programme werden weiter im Sicherheitmodus 
abgearbeitet. Ist eine Kennung vorhanden respektive zeigt diese die Umschaltung an, 
erfolgt im Block 220 die Umschaltung bzw. der Wechsel in den zweiten Betriebsmodus, 
den Leistungs- oder Performancemode LM. Da im Sicherheitsmodus parallel, also 
redundant, die gleichen Programme abgearbeitet werden, erfolgt hier eine Umschaltung 
nur, wenn flir beide Zweige im Leistungsmodus, also Block 8 und ALU 1 sowie Block 9 
und ALU 2 eine Umschaltung aufgrund der Kennung vorgesehen ist. Erfolgt eine 
vollsynchrone Abarbeitung, also eine zeitgleiche Abarbeitung des Programms, ist dies 
ohnehin gegeben, erfolgt eine nichtsynchrone Abarbeitung des Programms, muss von der 
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schnelleren Ausfuhningseinheit auf die zurttckliegende gewartet werden, so dass die 
Umschalteinrichtung 17 erst dann umschaltet, wenn beide Kennungen vorliegen bzw. 
ausgewertet sind. Eine solche Synchronitat muss auch zura Ergebnisvergleich bzw. ECC- 
und Ergebnisvergleich gemaB der BlScke 12, 13 und 14 sowie 12a und 13a entweder 
durch Zeitgleichheit erzwungen oder durch Warten erzeugt werden. 

In Block 230 1st somit dann der erste Zweig, also Block 8 und Ausfuhrungseinheit 1 
wieder im Leistungsmodus und im Block 23 1 der zweite Zweig mit Block 9 und 
Ausfuhrungseinheit 2, wodurch dann die erfindungsgemaBe Umschaltung vollzogen ist. 

Damit ist entsprechend der Aufgabe eine optimierte Umschaltung zwischen zwei 
Betriebsmodi einer Prozessoreinheit mit zwei integrierten AusfUhrungseinheiten 
erfindungsgemaB dargestellt, wobei die Kennung auf verschiedenste Art und Weise 
entsprechend Figur 5 in einem Programm- oder Datenzeilenabschnitt 500 eingebracht 
oder lokalisiert sein kann. Im Weiteren sprechen wir bei den Zeilen in Figur 5 von 
Programmzeilen, wobei auch hier Programm- und Datenzeilen in beliebiger Kombination 
mOglich sind. 



So sind in Figur 5 beispielhaft die Programme PI von Zeile Zl bis Zeile Z6, P2 von Zeile 
Z7 bis Zeile Z15 und P3 von Zeile Z16 bis Zeile Z19 dargestellt. Mit AP ist ein 
Aufgabenprogramm beispielsweise als Teil eines Programmes PI dargestellt, wobei auch 
mehrere Programme, z. B. PI und P2, zusammen ein Aufgabenprogramm Widen konnen. 
Mit CB ist ein Codeblock dargestellt, also ein Programmteil, der beispielsweise Zeilen 
zweier Programme, hier Z14 bis Z18 der Programme P2 und P3 umfasst. Ebenso kann ein 
solcher Codeblock, also ein Programmteil nur Teil eines Programmes sein. Weiterhin ist 
mit PB3 entsprechend Zeile Z19 ein Programmbefehl dargestellt. Mit Zeilen ZS1 und 
ZS2 ist ein spezieller Speicherbereich SSB dargestellt, der als vorgegebener 
Speicherbereich eine solche Kennung, hier KB enthalten kann. Daneben sind mitKl, K2, 
K3 und K4 sowie KB verschiedene Kennungen dargestellt, die den unterschiedlichen 
MSglichkeiten des erfindungsgemaBen Verfahrens Rechnung tragen. Bezuglich des 
Einsatzes der Kennung gibt es nun verschiedene Moglichkeiten: Zum Einen kann als 
Grundverarbeitungsmodus, also als Default-Modus der Sicherheitsmodus SM vorgesehen 
sein (ebenso natiirlich der Leistungsmodus). Bei Vorhandensein einer Kennung wird 
dann entsprechend in den Leistungsmodus umgeschaltet (oder umgekehrt in den 
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Sicherheitsmodus). Andererseits kann es erfmdungsgemaB auch vorgesehen sein, dass 
grundsatzlich eine Kennung vorhanden sein muss und aus dem Inhalt der Kennung, also 
insbesondere deren Bitwertes auf den entsprechenden Modus geschlossen wird. Dabei ist 
dann beispielsweise ein Binarwert 1 (oder auch ein anderer Wert, insbesondere der 
dominante Wert) dem Sicherheitsmodus SM zugeordnet und der Binarwert 0 (oder auch 
ein anderer Wert insbesondere der rezessive Wert) dem Leistungsmodus LM. Bezuglich 
der Oberlegung von dominant und rezessiv hat dies zur Folge, dass bei einem Fehler oder 
einem Ausfall in der Kegel der dominante Wert und somit der Sicherheitsmodus 
eingestellt ist. Entsprechend Zeile Z4 ist nun mit Kennung Kl ein Binarwert Bl, also 
Kl/Bl vorhanden, welcher beispielsweise anzeigt, dass das Aufgabenprogramm der 
Zeilen Z4 bis Z6 im Programm PI im Leistungsmodus abgearbeitet werden kann, obwohl 
beispielsweise Programm PI im Sicherheitsmodus abgearbeitet werden muss. Wie den 
Kennungen Kl, K2 und K3 anzusehen, kSnnen diese unterschiedlich lang sein, so dass 
beispielsweise bei Kennung K2 gemafi Zeile Z7 3 Bit, Bl bis B3, die Kennung 
ausmachen, so dass zum Einen mit Bit Bl bei K2 Sicherheitsmodus SM oder 
Leistungsmodus LM entschieden wird und beispielsweise die Bits B2 und B3 die 
Zeilenzahl angeben, fur welche dieser Modus, beispielsweise der Sicherheitsmodus, gilt, 
so dass das gesamte Programm P2 oder auch nur ein Teil davon im Sicherheitsmodus 
abgearbeitet wird. Ebenso konnen Codeblocke, also Programmteile, die beispielsweise 
keine Gesamtaufgabe umfassen, also kein Aufgabenprogramm darstellen, hier mit CB 
dargestellt, durch eine Kennung, wie hier K3 einem Modus zugeordnet werden. Hier 
kann dann neben der Betriebsmodizuordnung mit Bit Bl bei K3 beispielsweise auch eine 
Anfangszeile oder Adresse mit Bits B2 und B3 bei K3 und eine Endzeile oder Endadresse 
mit Bits B4 und B5 bei K3 angegeben sein, so dass ein spezieller Bereich in einem 
entsprechend zugeordneten Betriebsmodus abgearbeitet wird. Eine solche 
Kennungszuordnung kann gemaB K4 aber auch bei einzelnen Befehl PB3 in Z19 oder 
auch bei jedem Befehl erfolgen. Wie dargestellt, konnen also diese Kennungen 
vollstandigen Programmen oder Aufgabenprogrammen AP oder Programmteilen CB, 
Oder auch einzelnen Programmbefehlen PB, hier PB3, zugeordnet sein, was dann eine 
entsprechende Umschaltung durch die Umschalteinrichtung 17 auslSst. Durch die 
Abfrage in Block 210 oder auch in den Blocken 320 und 321 wird dann das 
Vorhandensein einer solchen Kennung Kl bis K4 oder KB iiberpruft respektive deren 
Inhalt umgeschaltet. Dabei kann die Kennung, wie hier dargestellt, als wenigstens ein Bit 
ausgebildet sein, aber auch mehrere Bits umfassen, zum Einen abhangig von der 
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unterschiedlichen Anzahl der Betriebsmodi, zum Anderen bedingt durch 
Zusatzinformationen wie die Anzahl der Zeilen oder eine Anfangs- oder Endadresse. 

In einer speziellen Ausflihrungsform kann wenigstens ein Programmbefehl vorgesehen 
sein, hier PB1, PB2 oder auch PB3, der eine Kennung erst ereeugt, die anzeigt, ob im 
ersten oder zweiten Betriebsmodus abzuarbeiten ist. Dabei kann die Kennung in einem 
bestimmten Speicherbereich SSB eingeschrieben werden, wie hier mit KB in ZS2 
dargestellt. Dieser Bereich SSB kann sich in einem Register, in einem in der CPU 
integrierten Speicher, aber auch in einem dazu externen Speicher befinden. Dabei kann 
als diese Kennung KB erzeugender Befehl ein Spezialbefehl, z. B. PB3 vorgesehen sein 
oder aber ein Befehl, der bereits im Befehlssatz der Prozessoreinheit vorhanden ist Als 
Spezialbefehl kann somit beispielsweise eben ein Befehl "erzeuge Kennung" 
implementiert werden, oder es kann auf einen im Prozessorbefehlssatz bereits 
vorhandenen Befehl, insbesondere einen Schreibbefehl zuriickgegriffen werden, wie hier 
durch PB1 und PB2 dargestellt, so dass in Z9 der Schreibbefehl WR in den 
Speicherbereich KB den Binarwert 0 einschreibt, dargestellt durch WR (KB: 0) und 
damit alle nachfolgenden Zeilen, solange die Kennung KBO ist, z. B. im 
Sicherheitsmodus abgearbeitet werden. Mit dem selben Befehl kann dann in Z12 bei PB2 
durch WR (KB: 1) in den Speicherbereich fur die Kennung KB der Wert 1 eingegeben 
werden, so dass ab diesem Zehpunkt die nachfolgenden Zeilen, z. B. im Leistungsmodus, 
abarbeitbar sind. D. h. durch einfache kennungserzeugende Befehle insbesondere ein 
simpler Schreibbefehl WR kann dann beispielsweise in einem speziellen Speicherbereich, 
der regelmaBig abgefragt wird, eine entsprechende Umschaltkennung KB erzeugt 
werden. 



eine 



Damit sind eine Vielzahl erfindungsgemafler Moglichkeiten dargestellt, . 
Betriebsmodiumschaltung bei einer Prozessoreinheit mit zwei Aiisfiihrungseinheiten 
aufgrund einer Kennung durchzuflihren. Damit sind die genannten Vorteile derErfindung 



erzielbar. 
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Ansprilche 



1 • Verfahren zur Umschaltung zwischen wenigstens zwei Betriebsmodi (SM, LM) 

einer Prozessoreinheit (100, 101) mit wenigstens zwei Ausfuhrungseinheiten (ALUA, ALUB) 
zur Abarbeitung von Programmen (PI, P2, P3), dadurch gekennzeichnet, dass wenigstens den 
Programmen (PI, P2, P3) wenigstens eine Kennung (K2) zugeordnet ist, welche eine 
Unterscheidung in die wenigstens zwei Betriebsmodi (SM, LM) erlaubt und eine 
Umschaltung zwischen den Betriebsmodi in Abhangigkeit von der Kennung (K1-K4, KB) 
erfolgt, so dass die Prozessoreinheit (100, 101) die Programme (PI, P2, P3) entsprechend des 
zugeordneten Betriebsmodus abarbeitet 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 
P3) Aufgabenprogramme (AP) enthalten oder diese bilden und den einzelnen 
Aufgabenprogrammen (AP) jeweils die Kennung (Kl) zugeordnet ist. 

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 
P3) aus einzelnen Programmteilen (CB) bestehen oder diese enthalten und den einzelnen 
Programmteilen (CB) jeweils die Kennung (K3) zugeordnet ist. 

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 
P3) aus einzelnen Programmbefehlen (PB) bestehen und den einzelnen Programmbefehlen 
(PB) jeweils die Kennung (K4) zugeordnet ist. 

5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 
P3) zu einem Betriebssystem der Prozessoreinheit (100, 101) gehOren oder das 
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Betriebssystem darstellen. 



6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Programme (PI, P2, 
P3) zur Steuerung von Betriebsablaufen eines Fahrzeugs eingesetzt werden. 

7. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass ein erster Betriebsmodus 
vorgesehen ist, der einem Sicherheitsmodus (SM) entspricht, bei dem die zwei 
Ausluhrungseinheiten (ALUA, ALUB) gleiche Programme (AP, P2) redundant abarbeiten. 

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass bei der Abarbeitung der 
Programme (AP, P2) entstehende Zustande oder Ergebnisse (ResuItA, ResultB) auf 
Uberemstimmung verglichen (14) werden und bei Abweichung auf Fehler erkannt wird. 

9. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die Programme (AP, P2) 
synchron abgearbeitet werden. 

10. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass im zweiten 
Betriebsmodus, der einem Leistungsmodus (LM) entspricht, jede Ausfuhrungseinheit 
(ALUA, ALUB) unterschiedliche Programme (PI, P2, P3) abarbeitet. 

1 1 . Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Kennung (Kl, KB) 
als wenigstens ein Bit (Kl/Bl) ausgebildet ist. 

12. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass ein Programmbefehl 
(PB1, PB2, PB3) vorgesehen ist der eine Kennung (KB) erzeugt, die anzeigt, ob im ersten 
oder zweiten Betriebsmodus abzuarbeiten ist. 

13. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Kennung (KB) in 
einem bestimmten Speicherbereich (SSB) eingeschrieben ist. 

14. Verfahren nach Anspruch 12 oder 13, dadurch gekennzeichnet, dass die Kennung 
(KB) durch einen in einem Befehlssatz der Prozessoreinheit vorgesehenen Befehl (PB1, PB2) 
erzeugt wird. 
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15. Verfahren nach einem der Anspruche 12- 1 4, dadurch gekennzeichnet, dass die 
Kennung (KB) durch einen Schreibbefehl (WR) erzeugt wird. 

1 6. Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi (LM, SM) 
einer Prozessoreinheit (100, 101) zur Abarbeitung von Programmen (PI, P2, P3) mit 
wenigstens zwei Ausfuhrungseinheiten (ALUA, ALUB), wobei Umschaltmittel (8, 9) 
enthalten sind, durch welche umgeschalten werden kann, dadurch gekennzeichnet, dass diese 
Umschaltmittel (8, 9) wenigstens den Programmen (PI, P2, P3) wenigstens eine Kennung 
(K1-K4, KB) zuordnen, welche eine Unterscheidung in die zwei Betriebsmodi (LM, SM) 
erlaubt und die Umschaltmittel (8, 9) derart ausgestaltet sind, dass diese in Abhangigkeit von 
der Kennung zwischen den Betriebsmodi umschalten und die Prozessoreinheit die 
Programme entsprechend des zugeordneten Betriebsmodus abarbeitet. 

1 7. Vorrichtung nach Anspruch 1 6, dadurch gekennzeichnet, dass als wenigstens zwei 
Ausfuhrungseinheiten entsprechend wenigstens duplizierte Rechenwerke (ALUA, ALUB) 
vorgesehen sind. 

1 8. Prozessoreinheit (100, 101) zur Abarbeitung von Programmen (PI, P2, P3) mit 
wenigstens zwei Ausfuhrungseinheiten (ALUA, ALUB), wobei Umschaltmittel (8, 9) 
enthalten sind, durch welche zwischen wenigstens zwei Betriebsmodi (LM, SM) der 
Prozessoreinheit umgeschalten werden kann, dadurch gekennzeichnet, dass diese 
Umschaltmittel (8, 9) wenigstens den Programmen (PI, P2, P3) wenigstens eine Kennung 
(K1-K4, KB) zuordnen, welche eine Unterscheidung in die zwei Betriebsmodi (LM, SM) 
erlaubt und die Umschaltmittel (8, 9) derart ausgestaltet sind, dass diese in Abhangigkeit von 
der Kennung zwischen den Betriebsmodi umschalten und die Prozessoreinheit die 
Programme entsprechend des zugeordneten Betriebsmodus abarbeitet. 
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Verfahren und Vorrichtung zur Umschalhm g zwischen wenigstens zwei Be triehsmorti 
einer Prozessoreinheit 

Zusammenfassung 

Verfahren und Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi 
(SM, LM) einer Prozessoreinheit (100, 101) mit wenigstens zwei Ausfuhrungseinheiten 
(ALUA, ALUB) zur Abarbeitung von Programmen (PI, P2, P3), wobei wenigstens den 
Programmen (PI, P2, P3) wenigstens eine Kennung (K2) zugeordnet ist, welche eine 
Unterscheidung in die wenigstens zwei Betriebsmodi (SM, LM) erlaubt und eine 
Umschaltung zwischen den Betriebsmodi in Abhangigkeit von der Kennung (K1-K4, 
KB) erfolgt, so dass die Prozessoreinheit (100, 101) die Programme (PI, P2, P3) 
entsprechend des zugeordneten Betriebsmodus abarbeitet, 
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